黑雀攻击：深度分析并溯源Dofloo僵尸物联网背后的“黑雀”
颁布功夫 2019-05-31
2019年4月起头，，OG东方厅ADLab观察到Confluence远程代码执行缝隙CVE-2019-3396被Dofloo僵尸网络家族用于攻占设备资源，，Confluence 是一个专业的企业知识治理与协同软件，，常用于构建企业wiki�！！！�。本次缝隙是由于Confluence Server 和Confluence Data中的Widget Connector存在服务端模板注入缝隙，，攻击者机关特定要求可远程遍历服务器肆意文件，，甚至实现远程代码执行攻击�！！！�。有意思的是Dofloo僵尸网络家族不仅起头利用高危缝隙进行攻击，，并且其背后的黑客还利用一种更具影响力的“黑雀攻击”来入侵产业链，，以掌控越发壮大的网络攻击资源�！！！�。而在此前，，我们已经做了长功夫的与Dofloo僵尸家族黑客产业链有关的钻研，，且已经确定了这种普遍存在于Dofloo家族中的“黑雀攻击景象”，，并对其中的“黑雀”进行了持久追踪与分析�！！！�。
此处，，我们所提出“黑雀攻击”不仅是一种高效的黑客攻击伎俩，，并且更是一种产业链级此外攻击步骤，，通常为玄色产业链上游黑客所为�！！！�。黑雀攻击与供给链攻击有异曲同工之妙，，只是攻击的指标不是通例的产业链，，而是黑客产业链；受攻击链的结尾也不是通常用户，，而是极具风险性的黑客群体�！！！�。在网络安全与黑客产业链的持久匹敌，，使得该产业链日渐成熟且复杂，，并形成了一个重大的黑客生态系统，，而在利益和生计需要的驱策下，，黑雀景象似乎造成了必然，，甚至在食品链的上端进化出了黑雀生态，，如Death僵尸网络的“大黑雀-黑雀-螳螂”�！！！�。
自OG东方厅ADLab于2016岁首发现黑雀攻击并于2017年1月颁布《黑雀攻击-揭秘Death僵尸网络背后的终极节制者》之后，，还相继在多个恶意代码家族中发现了黑雀攻击，，并颁布了深度分析汇报《揭秘Billgates僵尸网络中的黑雀景象》和《黑雀攻击：揭秘TF僵尸物联网黑客背后的黑客》�！！！�。在此前的黑雀分析和追踪中，，我们告发了Death僵尸网络背后的那个节制着上千僵尸子网络的超等黑客，，以及深藏在Billgates僵尸网络和物联网僵尸DDoSTF家族背后的黑雀�！！！�。此外我们还具体论述了每个家族中“黑雀攻击”的黑客档次结构，，如Death僵尸网络的三级黑客结构(大黑雀-黑雀-螳螂)，，Billgates和TF的二级黑客结构（黑雀-螳螂），，以及对有关的大黑雀、、黑雀和螳螂进行了网络行为分析和身份鉴别，，并做了精准的黑客画像�！！！�。
1.Dofloo僵尸家族简介
Dofloo，，别名Spike和AES.DDoS，，是一款支持ARM、、x86、、mipsd等多CPU架构的僵尸网络法式�！！！�。Dofloo家族因2014年针对北美洲和亚洲多个国度进行高达215Gbps流量的攻击而闻名，，尔后持久的攻占物联网设备资源并频仍地进行网络攻击活动�！！！�。凭据赛门铁克在2016年颁布的《Internet Security Thread Report》，，Dofloo僵尸网络恶意法式位列2015年度IoT领域恶意法式威胁排行榜第二名�！！！�。
2.发现Dofloo僵尸中的黑雀
在持久的对僵尸网络的钻研中，，Dofloo一向是我们监控的对象�！！！�。在之前的钻研中，，通过自动化分析该家族的关联样本，，发现该家族的大部门样本城市启动两个新的攻击线程，，并发现这两个线程存在异常行为�！！！�。如：不仅会设置延长启动线程，，还会尝试跟另一个C&C节制端进行衔接通讯�！！！�。因而，，我们对这些样本进行了进一步的分析，，最终确定该僵尸生态中被植入了黑雀�！！！�。
从上图能够看出，，有三个地址的上线频度远高于其他的C&C�！！！�。结合样本分析发现，，上线到这三个C&C地址的样本险些都有两个独立节制的C&C，，并且僵尸回连这三个C&C地址都是通过创建子线程的方式进行，，而其关联的样本的别的一个C&C却是在主线程中进行回连�！！！�。因而，，通过该僵尸的这几个个职能够判定其中注定存在黑雀攻击的景象，，而这三个C&C地址就是Dofloo僵尸生态中的黑雀C&C地址，，与黑雀C&C地址有关联的其他C&C地址就是Dofloo僵尸生态中螳螂黑客的C&C地址�！！！�。
我们对这三个黑雀C&C地址有关联的螳螂C&C做了分类统计，，如下表所示：
|
C&C地址 |
螳螂僵尸网络数量 |
|
183.60.149.199 |
189 |
|
118.193.217.144 |
282 |
|
aaa.tfddos.net |
85 |
3.Dofloo僵尸黑雀溯源与画像
通过对样本的分析，，结合样本中的函数定名习惯、、攻击流量特点、、变种源码注解以及样本发作传布时用来散播样本的HFS面板说话等特点，，我们判定该家族由国内的黑客编写�！！！�。因而我们溯源指标锁定在国内，，通过对黑雀域名“aaa.tfddos.net”中关键信息”tfddos”，，我们关联到一款名为“台风DDoS”的僵尸软件�！！！�。并且通过进一步分析发现，，该僵尸软件的模板样本与Dofloo僵尸拥有极为类似的行为和网络个性�！！！�。此外，，“台风DDoS”在黑客间活跃的功夫同Dofloo发作功夫均在2014年�！！！�。凭据以上一系列的证据证明他们之间存在肯定同源性�！！！�。为了进一步确认他们为统一款僵尸法式，，我们还利用bindiff对“台风DDoS”节制端天生的僵尸与Dofloo的样本进行了类似度比对，，发现两者代码类似度为100%的代码占比超过98%，，因而能够确定“台风DDoS”就是Dofloo家族的一个主控�！！！�。对比图如下：
通过对早期的“台风DDoS”的僵尸模板法式分析发现与Dofloo黑雀C&C一样的后门C&C：183.60.149.199�！！！�。
此外，，通过对“台风DDoS”的溯源发现，，其曾在网站tfddos.com上作为官方软件被公开售卖，，该网站固然选取了与Dofloo黑雀域名“aaa.tfddos.net”不一样的域名，，但他们都使用了“tfddos”作为域名的关键字，，也即是“tai（台） feng（风） ddos”�！！！�。因而我们以为后门C&C：183.60.149.199与aaa.tfddos.net为统一黑客或者黑客组织所为�！！！�。
对于黑雀IP：118.193.217.144的反查发现，，在2017年，，域名wap.tfddos.net和aaa.tfddos.net与该IP地址进行了持久的绑定�！！！�。
为了追踪Dofloo僵尸网络背后的黑雀，，我们先网络了C&C有关的信息并进行了分析�！！！�。其中通过IP：183.60.149.199关联出来的有关域名大部门被作为色情网站或博彩网站使用，，并无可用线索�！！！�。而tfddos.com和tfddos.net都采取隐衷珍视规划，，无法进前进一步的追忆�！！！�。
通过尔后持久的溯源分析，，我们还追踪到了该黑雀在现实世界中的身份信息�！！！�。此黑雀是河南南阳两家科技公司的监事，，并且以80万元认缴资金持有其中一家科技公司10%的股份，，背地里从事黑产活动�！！！�。
4.Dofloo僵尸典型样本分析
由于Dofloo支持多种CPU架构，，我们在对这些平台的样本分析中发现，，所有Dofloo支持的架构，，都存在黑雀景象�！！！�。但是僵尸作者对分歧的架构的黑雀C&C处置略有分歧，，这对自动化分析也造成了肯定的影响�！！！�。我们对本次网络的共计1200个样本的架构所占比例进行了统计，，绘制成图如下：
CPU架构的散布图，，肯定水平上也说了然该家族入侵设备类型的散布，，能够看到ARM设备的比例极度高，，这也注明ARM下的设备受到黑雀节制的比例比力高�！！！�。
接下来我们对Dofloo家族的典型样本进行了具体的分解，，并且凭据大量样本提取综合出典型的通讯流量和攻击流量特点,并对Dofloo家族进行了同源性分析�！！！�。
4.1 装置机制
Dofloo僵尸法式的装置机制有：僵尸法式在宿主机的悠久化设置、、过程唯一性判断和守护过程设置�！！！�。
僵尸法式通过写入开机自启号令实现悠久化�！！！�。僵尸法式在启动后，，会首先查抄启动的号令行参数, 若是发现没有参数，，那么恶意法式会默认是在该设备的第一次运行,此时会挪用“autoboot”函数�！！！�。在该函数中，，挪用“system”函数执行下表中的号令，，以确保恶意法式在该设备重启后仍可能启动运行�！！！�。这也是Dofloo恶意法式在宿主设备实现悠久化的唯一步骤�！！！�。
sed -i -e '/^\r\n|\r|\n$/d' /etc/rc.local
sed -i -e '/%s/d' /etc/rc.local
sed -i -e '2 i%s/%s' /etc/rc.local
sed -i -e '2 i%s/%s start' /etc/rc.d/rc.local
sed -i -e '2 i%s/%s start' /etc/init.d/boot.local
4.2 上线机制
4.3 心跳机制
僵尸法式在SendInfo线程实现了自身的心跳机制�！！！�。这个线程的重要职能是向螳螂节制端和黑雀节制端发送心跳包，，心跳包内容蕴含当前CPU使用率和网络速度信息，，通过以下2个步骤获取到这些内容：
（1） 查抄“eth0”到“eth9”领域内以太网口的ifconfig信息�！！！�。并通过读取/proc/net/dev 目录信息来推算网络速度�！！！�。
（2）通过读取/proc/stat目录下的信息，，获取cpu数量，，推算占用百分比�！！！�。
比力有趣的是，，下游的黑客在发起DDoS攻击的时辰，，可能底子不会想到，，主控中显示的恶意法式的攻击流量速度险些都是伪造的�！！！�。我们在SendInfo线程中发现，，当恶意法式执行DDoS攻击时，，会挪用“fake_net_speed”函数，，该函数会凭据分歧的DDoS攻击的模式，，在一个固定的领域内伪造攻击流量速度�！！！�。下图为对部门推算随机流量的截图：
僵尸法式伪造的攻击流量数据领域如下表所示：
4.4 节制指令解析与DDoS攻击
发送完上线包之后，，此时僵尸法式会期待接管节制端的节制指令�！！！�。Dofloo会首先把节制指令包的前四个字节作为模式指令码进行解析，，由此来判断接下来要进行的操作，，重要支持的操作有三种:
（2）指令码为0x6时，，进入DealwithDDoS函数，，此函数为DDoS攻击函数，，所有执行攻击的判断和逻辑都在此函数中�！！！�。
（3）指令码为0x7时辰，，挪用kill函数，，终止过程�！！！�。
同时Dofloo家族对节制指令进行了128位的AES加密，，这个个性大大增长了对其节制指令流量监控和识此外难度�！！！�。我们对网络到的样本进行分析后发现，，所有架构下僵尸法式用来解密的KEY都是一样的，，这也注明互联网中Dofloo僵尸家族的样本都来自统一个模版�！！！�。KEY如下所示：
unsignedcharaes_key[] = { 0x2b, 0x7e, 0x15, 0x16, 0x28, 0xae, 0xd2, 0xa6, 0xab, 0xf7, 0x15, 0x88, 0x9, 0xcf, 0x4f, 0x3c };
我们仿照了未加密的节制指令（除去前4个作为模式指令码的字节）在内存中的布局,其节制指令的各个字段的寓意如下图所示：
当进入到DealwithDDoS函数时，，僵尸法式凭据指令，，启动分歧的攻击线程�！！！�。Dofloo家族不仅拥有SYN、、HTTP等传统的攻击步骤，，还拥有利用UDP和谈的反射放大的攻击方式，，好比DNS放大攻击�！！！�。下图为Dofloo可提议的典型的DDoS攻击的步骤：
并且我们对Dofloo的攻击步骤进行了分析总结，，并对部门攻击步骤的流量特点进行了提取，，制作流量特点表如下：
我们在分析攻击线程的时辰，，发现ARM架构的恶意样本每次攻击创建的攻击线程极度多，，单次攻击指令可创建几种甚至十几种分歧类型的攻击线程�！！！�。结合样本CPU的散布，，我们能够得知ARM设备下的Dofloo恶意法式是该僵尸家族的主力，，在DDoS攻击中提供了重要的流量支持�！！！�。
同时凭据监控到Dofloo攻击汗青，，发现该家族重要的攻击方式以UDP Flood 为主，，近年来黑客也越来越喜欢DNS和NTP等反射放大攻击伎俩来对服务器进前进攻 ，，Dofloo的攻击方式占比也印证了这一点�！！！�。同时我们也能够看到Layer7层的CC_Flood和Layer4层的TCP_Flood、、SYN Flood作为传统的DDoS的攻击方式，，其占比也一向较为不变�！！！�。并且我们凭据有关的谍报数据得知，，Dofloo的攻击量相对于其他的家族较少，，我们分析揣摩Dofloo每次发起攻击时开启了大量的攻击线程，，这样能加大发包量，，急剧导致指标服务器宕机�！！！�。
4.5 同源性分析
我们观察到好多杀毒软件对Dofloo家族法式有分歧的定名方式，，甚至鉴别为其他家族的法式，，因而为了确定Dofloo家族的源码组成，，我们对其进行了同源性分析�！！！�。
并且还能够看到Mr.Black同样有同名的，，提议DDoS攻击的函数DealWithDDoS，，其提议攻击的节制指令编码也一样�！！！�。
只不外Mr.Black中仅有5种DDoS攻击方式�！！！�。通过查阅Mr.Black的源码，，发现Mr.Black源码中并没有黑雀后门线程和AES加密，，没有远控部门，，仅能提议DDoS攻击�！！！�。因而揣摩Dofloo为参考Mr.Black代码更改后的变种�！！！�。
在DnsAmp与Dofloo家族的对比中，，我们发现其代码差距较大，，但是重要攻击代码以及法式整体设计思路比力类似�！！！�。在DnsAmp家族中，，悠久化依然是通过设置“/etc/rc.d/rc.local”来维持开机自启，，并且在启动后同Dofloo一样，，会首先确定过程的唯一性�！！！�。而它的攻击线程“AttackWorker”中，，我们发现同Dofloo一样拥有同名的攻击函数“DealwithDDoS”，，只不外仅有4种攻击方式，，别离为udp，，icmp，，dnsAmp,syn攻击�！！！�。固然DnsAmp与Dofloo整体代码类似度不是太高，，但是凭据其重要攻击代码和法式整体的设计思路，，我们揣摩二者拥有关联性，，至少DnsAmp为参考Dofloo代码而产生的类似变种�！！！�。部门对比图如下：
5.总 结
本篇汇报重点对Dofloo僵尸网络家族中存在的黑雀景象进行了分析披露，，并溯源追踪黑雀，，产出黑雀画像�！！！�。同时对典型的僵尸样本进行了分析，，提取综合出上线、、心跳、、节制指令和提议攻击的流量体式�！！！�。
参考文件：
1、、DDoS-Capable IoT Malwares: Comparative Analysis and Mirai Investigation
https://www.hindawi.com/journals/scn/2018/7178164/
http://www.antiy.net/p/2017-global-botnet-ddos-attack-threat-report
https://www.insight.com/content/dam/insight-web/en_US/article-images/whitepapers/partner-whitepapers/Internet%20Security%20Threat%20Report.pdf
http://blog.malwaremustdie.org/2014/09/tango-down-report-of-op-china-elf-ddoser.html
京公网安备11010802024551号